De boetes voor overtredingen van de Algemene Verordening Gegevensbescherming (AVG) blijven stijgen nu Europese toezichthouders strenger optreden tegen datalekken. Volgens de GDPR Enforcement Tracker kregen bedrijven in 2025 meer dan 330 boetes opgelegd. Advocatenkantoor DLA Piper schat dat het totale bedrag € 1.2 miljard bedroeg.

Het socialemediabedrijf TikTok kreeg in 2025 de hoogste GDPR-boete ooit opgelegd. De boete van € 530 miljoen, opgelegd in Ierland, betrof het delen van Europese gebruikersgegevens met personeel in China. Vorig jaar bekrachtigde de Luxemburgse gegevensbeschermingsautoriteit ook een GDPR-boete van € 746 miljoen die in 2021 aan Amazon was opgelegd omdat het bedrijf gebruikersgegevens had verzameld voor reclamedoeleinden zonder toestemming van de gebruiker. Een beroep van Amazon werd afgewezen, wat erop wijst dat Europese toezichthouders op gegevensbescherming de handhaving van de GDPR serieus nemen.

De aanhoudende hoge boetes voor overtredingen van de AVG (Algemene Verordening Gegevensbescherming) kunnen worden toegeschreven aan een recordstijging van meldingen van datalekken, die bedrijven binnen 72 uur na een datalek moeten indienen. DLA Piper constateerde dat deze meldingen in 2025 voor het eerst sinds de invoering van de AVG in 2018 de grens van 400 per dag overschreden. Tussen januari 2024 en januari 2026 liepen ze op tot meer dan 443 – een stijging van 22% ten opzichte van 363. DLA Piper schrijft dit toe aan hackaanvallen als gevolg van wereldwijde geopolitieke instabiliteit, toegenomen media-aandacht voor cybercriminaliteit en de opkomst van wet- en regelgeving met betrekking tot datalekken, die meldingsplicht bij incidenten voorschrijft.

Het is duidelijk dat toezichthouders op de gegevensbescherming niet langer bereid zijn om GDPR-schendingen te negeren nu de wet al acht jaar van kracht is. Maar aangezien data essentieel zijn voor moderne organisaties en GDPR-boetes niet alleen een financieel risico vormen, maar ook bredere schade toebrengen aan bedrijven, wat kunnen ze doen om aan de wet te voldoen?

Regulatoren grijpen harder in.

Een belangrijke reden voor de recente golf van GDPR-boetes is dat toezichthouders van mening zijn dat bedrijven meer dan genoeg tijd hebben gehad om de wet te begrijpen en in de praktijk te brengen, aldus Lucas von Stockhausen, uitvoerend directeur van security engineering bij applicatiebeveiligingsbedrijf Black Duck.

Hij vertelt IO dat de gegevensbeschermingsautoriteiten genoeg hebben van de excuses van bedrijven die zich niet aan de regels houden en zich nu richten op het ter verantwoording roepen van deze bedrijven. Het negeren hiervan kan leiden tot "aanzienlijke boetes" voor bedrijven, waarbij toezichthouders boetes tot €20 miljoen of 4% van de wereldwijde jaaromzet kunnen opleggen voor de ernstigste overtredingen.

Ondanks dat toezichthouders GDPR-schendingen blijven bestraffen met boetes, zijn veel bedrijven zich hier niet van bewust. Jake Moore, wereldwijd cybersecurity-adviseur bij antivirussoftwarefabrikant ESET, zegt dat gegevensbescherming voor veel organisaties een "afvinklijstje" is, terwijl het in feite in elk aspect van een modern bedrijf verankerd zou moeten zijn.

Hij zegt dat dit leidt tot "zwakke toegangscontroles" en het niet onthouden van de locatie van gevoelige gegevens. Daardoor kunnen gegevens gemakkelijk in handen vallen van onbevoegden, en als bedrijven niet zeker weten waar ze bepaalde gegevens hebben opgeslagen, zullen ze moeite hebben om te voldoen aan verzoeken tot gegevensverwijdering. Deze problemen brengen bedrijven het risico van GDPR-boetes met zich mee.

Maar het niet naleven van de AVG brengt bedrijven niet alleen het risico van kostbare boetes met zich mee – het kan alle aspecten van de bedrijfsvoering schaden. Jo Brianti, specialist op het gebied van gegevensbescherming, zegt dat het opruimen van de problemen kan leiden tot "operationele verstoringen" wanneer leidinggevenden hun toch al overvolle agenda's moeten besteden aan het opruimen van de problemen. Leidinggevenden kunnen zelfs zelf aansprakelijk worden gesteld voor boetes als ze op de hoogte waren van de AVG-schendingen en niet hebben ingegrepen, voegt ze eraan toe.

Ze zegt dat het negeren van de AVG ook de reputatie van bedrijven kan schaden, hen kan blootstellen aan kostbare rechtszaken aangespannen door gedupeerde klanten, het voor bedrijven moeilijker kan maken om in verschillende markten te opereren door verstoring van "platformverplichtingen en grensoverschrijdende gegevensstromen" en kan opduiken in due diligence-rapporten, wat kan leiden tot verlies van omzet en andere zakelijke kansen.

AI verandert het speelveld.

De toenemende toepassing van kunstmatige intelligentie door bedrijven draagt ​​ook bij aan de stijgende boetes voor overtredingen van de AVG (Algemene Verordening Gegevensbescherming). Omdat AI wordt getraind op grote datasets om te functioneren en in de loop der tijd te verbeteren, is het risico op datalekken en daaropvolgende wettelijke maatregelen aanzienlijk.

En omdat veel bedrijven AI-systemen gebruiken die ontwikkeld zijn door externe technologieleveranciers, hebben ze niet altijd controle over hoe de gegevens die ze in deze applicaties invoeren, worden opgeslagen en beschermd. Volgens von Stockhausen van Black Duck betekent dit dat er een reëel risico bestaat op onbedoelde datalekken en daaropvolgende handhaving van de AVG.

Hij vertelt aan IO: "De efficiëntiewinst kan enorm zijn, maar vanuit het oogpunt van de AVG is het grootste risico duidelijk: organisaties moeten kunnen garanderen dat de output van AI geen persoonsgegevens onthult."

Als het gaat om het beveiligen van AI-systemen en de data waarop ze gebaseerd zijn, wordt van bedrijven niet alleen verwacht dat ze de GDPR-richtlijnen volgen. Er is ook een groeiend wetgevend kader dat specifiek gericht is op AI. Het is verleidelijk voor bedrijven om GDPR- en AI-compliance als aparte zaken te beschouwen, maar dit kan averechts werken.

Moore van ESET legt uit dat, omdat gegevensprivacy en AI-governance gebruikmaken van dezelfde datasets, bedrijven er beter aan doen om ze als één samenhangende discipline met duidelijke verantwoordelijkheid te behandelen. Dit kan leiden tot een vereenvoudigde werkdruk en minder dubbel werk, waardoor werknemers minder snel gegevens verwaarlozen. Volgens Moore kan dit ook resulteren in minder boetes voor bedrijven.

Brianti is eveneens een groot voorstander van een geïntegreerde aanpak voor data- en IT-governance en legt uit dat toezichthouders nu "de AVG integreren in een breder digitaal pakket". Ze noemt de EU-wetgeving inzake digitale diensten en digitale markten, en updates van bestaande wetgeving met betrekking tot data en AI als voorbeelden.

Volgens Brianti kan het niet naleven van een van deze wetten "domino-effecten hebben op meerdere regelgevende kaders". Ze vertelt aan IO: "Hierdoor verandert de AVG van een juridisch bolwerk in een strategisch risico dat van invloed is op corporate governance, risicoprofielen van investeerders, due diligence bij overnames en reputatiemanagement."

Compliance correct toepassen

Nu toezichthouders de AVG blijven handhaven, zegt von Stockhausen van Black Duck dat hun belangrijkste verwachting is dat bedrijven een "duidelijke" strategie voor gegevensbescherming hebben geïmplementeerd, waarin de redenen voor het verzamelen van persoonsgegevens worden uitgelegd, of de gegevens daadwerkelijk nodig zijn en hoe zij gegevens opslaan en beschermen.

"Toezichthouders zijn op zoek naar bedrijven die bewust, verantwoordelijk en met een duidelijk begrip van de risico's omgaan met persoonsgegevens", zegt hij. "Bedrijven die dat niet doen, komen steeds vaker onder de loep te liggen."

Maar hij zegt dat de belangrijkste manier om te voldoen aan de AVG (Algemene Verordening Gegevensbescherming) is om voortdurend waakzaam te zijn ten aanzien van risico's op het gebied van gegevensprivacy en -beveiliging. Om dit te doen, moeten bedrijven volgens hem "aantoonbare waarborgen" implementeren, de bedreigingen van nieuwe technologieën continu in de gaten houden en bestaande strategieën voor gegevensprivacy hierop aanpassen.

Voor bedrijven die niet weten waar ze moeten beginnen, raadt Brianti aan om best practices uit professionele standaarden en raamwerken te integreren in de dagelijkse processen om te voldoen aan wettelijke vereisten zoals de AVG. Ze zegt dat ISO 27001 uitstekend geschikt is voor het aanpakken van informatiebeveiligingskwesties. ISO 27701 voor privacy. Cyber ​​Essentials en NIST 800-53 zijn twee van haar andere favorieten.

Andere aanbevelingen van Brianti om te zorgen voor naleving van de AVG zijn onder meer: ​​het vastleggen van de locatie van persoonsgegevens en de manier waarop deze worden verwerkt in een inventaris; het toepassen van privacy-by-design-principes zodat producten altijd gegevensveilig zijn; het definiëren van rollen en verantwoordelijkheden met betrekking tot gegevensbescherming; het voorlichten van medewerkers over het belang van gegevensbescherming; het documenteren van alle beslissingen die over gegevensbescherming worden genomen; het vaststellen van gegevensrisico's door middel van impactanalyses; het bewaren van deze analyses en alles wat met gegevens te maken heeft in één omgeving; en het zorgen voor afstemming van alle incidentresponsactiviteiten.

Het is verleidelijk om GDPR-non-compliance te zien als een kwestie van een boete betalen en verdergaan. Maar dat is een illusie. De handhaving van de GDPR kan een enorme klap zijn voor de bedrijfsvoering en groei. Daarom moet het worden beschouwd als een strategische prioriteit, in plaats van een afvinklijstje om bureaucraten tevreden te stellen. En wanneer GDPR-compliance is afgestemd op andere IT-gerelateerde governance-activiteiten, kunnen bedrijven erop vertrouwen dat ze toezichthouders tevreden houden en zichzelf beschermen tegen een snel veranderend cyberdreigingslandschap.